Die auf KI-Agenten spezialisierte Sicherheitsfirma Zenity hat eine Schwachstellenfamilie namens PleaseFix offengelegt, die fünf KI-gestützte Browser ganz ohne Klick der Nutzer kapert. Betroffen sind Claude in Chrome, Gemini in Chrome, ChatGPT Atlas, Perplexity Comet und Copilot Edge. Zenity zeigte die Angriffe am fünften August auf der Sicherheitskonferenz Black Hat USA.
Präparierte Inhalte kapern die Absicht der Nutzer
Die als PleaseFix bezeichnete Schwachstellenfamilie nutzt aus, dass agentenbasierte Browser eigenständig E-Mails, Kalendereinladungen und Webseiten lesen, um Aufgaben im Auftrag der Nutzer zu erledigen. Zenity nennt das Grundproblem „Intent Collision”: Die Systeme unterscheiden nicht zuverlässig zwischen der Anweisung der Nutzer und Text, der ihnen beim Surfen unterkommt. Versteckte Befehle in einer E-Mail oder einem Kommentar reichen aus, um den Agenten auf ein fremdes Ziel umzulenken – ganz ohne Klick, Bestätigung oder sichtbares Warnsignal für die betroffene Person.
In einem Forschungsbericht beschreibt Zenity, wie vier eingebaute Schutzschichten von ChatGPT Atlas der Reihe nach umgangen wurden: ein Klassifizierer für Seiteninhalte, ein Filter gegen Prompt Injection, eine Prüfung für sensible Websites und eine Bestätigungssperre vor kritischen Aktionen. Eine harte Grenze hielt stand – ein Kauf-Block auf Code-Ebene ließ sich nicht direkt umgehen. Die Forscher wichen stattdessen aus, indem sie Amazons eigenen Assistenten Rufus den Einkauf abschließen ließen. Bereits im Juli war laut The Hacker News eine frühere, isolierte Schwachstelle in Claude für Chrome bekannt geworden – ein Hinweis darauf, dass Angriffe auf agentenbasierte Browser kein Einzelfall bleiben.
Von Gmail-Diebstahl bis zum Kauf im fremden Namen
Bei Claude in Chrome löste eine einzelne präparierte E-Mail eine Kette aus: Der Agent las das Gmail-Postfach der Betroffenen aus, gab deren Google-Drive-Ordner für Angreifer frei und ermöglichte anschließend Zugriff auf Slack- und X-Konten. Bei ChatGPT Atlas genügte ein untergeschobener Kommentar in einem X-Thread, um aus einer harmlosen Anfrage – etwa der Anmeldung zu einem Newsletter – Phishing-Nachrichten an sämtliche WhatsApp-Kontakte des Opfers zu machen. In einem zweiten Fall füllte Atlas einen Amazon-Warenkorb, änderte die Lieferadresse auf die des Angreifers und schloss den Kauf über Rufus ab, Amazons hauseigenen Einkaufsassistenten.
Weitere von Zenity dokumentierte Angriffsketten reichen bis zur Übernahme von Konten bei 1Password, GitHub und AWS sowie, in einzelnen Fällen, zur weitgehenden Kontrolle über den Rechner der Betroffenen per Zugriff auf lokale Netzwerkdienste. Gemeinsamer Nenner aller Ketten ist stets derselbe Webagent, der Zugriff auf Postfach, Cloud-Speicher und Passwortverwaltung gleichzeitig besitzt. Eine unabhängige Bestätigung dieser weitergehenden Fälle durch Dritte steht noch aus.
Hersteller reagieren uneinheitlich auf die Meldung
Zenity meldete die Funde nach eigenen Angaben gestaffelt zwischen Dezember 2025 und März 2026 an Anthropic, Google, Microsoft, OpenAI und Perplexity, bevor sie den vollen Umfang bei Black Hat vorstellte. OpenAI räume laut SecurityWeek „bedeutsame Risiken” ein, verweise aber auf die grundlegende Arbeitsweise agentenbasierter Browser und liefere bislang keinen Patch. Anthropic stufte die Meldung als für das eigene Bug-Bounty-Programm nicht zulässig ein. Einzelne Hersteller besserten punktuell nach, andere bezeichneten das dokumentierte Verhalten als beabsichtigte Funktion. Mitgründer und Technikchef Michael Bargury bringt es so auf den Punkt: „Agentenbasierte Browser tauschen jahrzehntelange Sicherheitsarchitektur gegen Bequemlichkeit ein.”
Der Zeitpunkt trifft OpenAI an einer empfindlichen Stelle: Der eigenständige Atlas-Browser wird bereits zum neunten August eingestellt, seine Funktionen wandern jedoch in eine Chrome-Erweiterung und einen geplanten Cloud-Browser weiter – die zugrunde liegende Schwachstellenklasse verschwindet mit der Abschaltung also nicht. Auch bei Google fließen KI-Agenten längst tief in Chrome ein, etwa über automatisierte Fehlerbehebung im Quellcode.
Offen bleibt, ob die Anbieter das Grundproblem architektonisch lösen oder weiter einzelne Angriffsketten einzeln stopfen. Zenity zufolge lässt sich die Umgehung von Schutzschichten nach jedem Patch mit neuen Formulierungen reproduzieren, solange Agenten Nutzeranweisungen und fremden Text aus derselben Quelle verarbeiten.
